feat: sync lijiaoqiao implementation and staging validation artifacts

reports/alignment_validation_checkpoint_09_2026-03-29.md

@@ -0,0 +1,45 @@
+# 规划设计对齐验证报告（Checkpoint-09 / TOK-002 代码骨架 + TOK-003/004 测试模板）
+
+- 日期：2026-03-29
+- 触发条件：完成 TOK-002 中间件代码骨架与单测骨架、TOK-003/004 测试模板文件
+
+## 1. 结论
+
+结论：**开发阶段对齐通过，代码骨架与测试模板与 TOK 基线文档一致。**
+
+## 2. 对齐范围
+
+1. `docs/token_runtime_minimal_spec_v1.md`
+2. `docs/token_auth_middleware_design_v1_2026-03-29.md`
+3. `docs/token_lifecycle_audit_test_assertions_v1_2026-03-29.md`
+4. `docs/platform_token_api_contract_openapi_draft_v1_2026-03-29.yaml`
+5. `docs/acceptance_gate_single_source_v1_2026-03-18.md`（M-021）
+6. `platform-token-runtime/internal/auth/middleware/token_auth_middleware.go`
+7. `platform-token-runtime/internal/auth/middleware/query_key_reject_middleware.go`
+8. `platform-token-runtime/internal/auth/middleware/token_auth_middleware_test.go`
+9. `platform-token-runtime/internal/token/lifecycle_test_template_test.go`
+10. `platform-token-runtime/internal/token/audit_test_template_test.go`
+
+## 3. 核查结果
+
+| 核查项 | 结果 | 证据 |
+|---|---|---|
+| 中间件链路包含 request_id -> query key 外拒 -> bearer 校验 -> 状态校验 -> scope 鉴权 -> 审计 | PASS | `platform-token-runtime/internal/auth/middleware/token_auth_middleware.go` |
+| query key 外拒命中 `key/api_key/token` 且返回 `401 QUERY_KEY_NOT_ALLOWED` | PASS | `platform-token-runtime/internal/auth/middleware/query_key_reject_middleware.go` |
+| 错误码语义与 TOK-002 设计一致 | PASS | `platform-token-runtime/internal/auth/service/token_verifier.go` |
+| TOK-002 单测骨架覆盖成功/失败/越权/边界拒绝路径 | PASS | `platform-token-runtime/internal/auth/middleware/token_auth_middleware_test.go` |
+| TOK-LIFE-001~008 模板已落地 | PASS | `platform-token-runtime/internal/token/lifecycle_test_template_test.go` |
+| TOK-AUD-001~007 模板已落地 | PASS | `platform-token-runtime/internal/token/audit_test_template_test.go` |
+| SSOT 边界“仅平台凭证入站，不直发上游 token”未被破坏 | PASS | 上述代码与模板均未暴露上游凭证 |
+
+## 4. 限制与说明
+
+1. 当前环境缺少 `go` 工具链，未执行编译/单测命令，仅完成代码骨架与模板落地。
+2. TOK-003/004 为模板态（`t.Skip`），待生命周期实现后替换为真实断言执行。
+3. staging 联调（TOK-005~TOK-007）仍需真实环境参数后激活。
+
+## 5. 下一步
+
+1. 实现 `TokenVerifier/TokenStatusResolver/RouteAuthorizer` 的真实逻辑与缓存策略。
+2. 将 `TOK-LIFE-*` / `TOK-AUD-*` 模板由 `t.Skip` 切换为真实执行断言。
+3. 在具备 `go` 环境后补充单测和覆盖率报告，作为 TOK-002 联调阶段证据。